Laki sosiaali- ja terveydenhuollon asiakastietojen käsittelystä

Valtakunnallisten tietojärjestelmäpalvelujen ja sinne tallennettujen tietojen on oltava aina käytettävissä. Tietojärjestelmäpalveluilla on oltava tarpeelliset varajärjestelmät toimintahäiriöiden ja poikkeusolojen varalle.

Kansaneläkelaitos vastaa:

1) valtakunnallisten tietojärjestelmäpalvelujen edellyttämistä teknisistä määrittelyistä ja teknisistä ohjeista;

2) valtakunnallisiin tietojärjestelmäpalveluihin tallennettujen tietojen turvallisuuden varmistamisesta sekä tietojen hävittämisestä säilytysajan päättymisen jälkeen;

3) vastuullaan olevien valtakunnallisten tietojärjestelmäpalvelujen toteuttamisesta siten, että asiakas- tai hyvinvointietoja ja muita valtakunnallisiin tietojärjestelmäpalveluihin tallennettuja tietoja luovutetaan vain tämän lain ja sosiaali- ja terveystietojen toissijaisesta käytöstä annetun lain (552/2019) mukaisesti;

4) asiakas- ja hyvinvointitiedon käytön ja luovutuksen tallentumisesta lokirekisteriin;

5) koodistopalvelun tietoteknisestä toteuttamisesta;

6) valtakunnallisiin tietojärjestelmäpalveluihin liittyvästä tiedottamisesta väestölle; sekä

7) valtakunnallisiin tietojärjestelmäpalveluihin liitettävien tietojärjestelmien ja hyvinvointisovellusten yhteentoimivuuden testaamisesta.

Kansaneläkelaitoksella on oikeus:

1) saada Sosiaali- ja terveydenhuollon lupa- ja valvontavirastolta valtakunnallisiin tietojärjestelmäpalveluihin liittyvien lakisääteisten tehtävien hoitamiseksi tarvittavat tiedot sosiaali- ja terveydenhuollon ammattihenkilöistä;

2) käsitellä asiakas- ja hyvinvointitietoja siltä osin kuin valtakunnallisten tietojärjestelmänpalvelujen ylläpitoon kuuluvat tehtävät välttämättä edellyttävät;

3) päättää järjestelmän tietotekniseen toimintaan liittyvistä asioista, jollei tästä laista tai sen nojalla annetuista säännöksistä muuta johdu;

4) antaa tahdonilmaisupalvelussa olevia luovutusten hallintaan liittyviä asiakirjoja ja niiden lokitietoja sosiaali- ja terveydenhuollon palvelunantajille asiakastietojen käytön ja luovutuksen seurantaa ja valvontaa varten, jos on ilmeistä, ettei siten vaaranneta turvajärjestelyjen toteutumista;

5) suorittaa palveluidensa ja palveluissa säilytettävien tietojen käyttöön sekä tietoliikenteeseen ja tietoliikenteen lokitietoihin kohdentuvaa valvontaa tietoturvan lisäämiseksi; sekä

6) salassapitovelvoitteiden estämättä saada Digi- ja väestötietovirastolta valtakunnallisia tietojärjestelmäpalveluita koskevien tehtävien hoitamiseksi tarvittavat välttämättömät tiedot.

Tietoturvallisuuden varmistamiseksi Kansaneläkelaitos ylläpitää valvontakeskusta sekä ryhtyy tarvittaviin toimenpiteisiin yhteistyössä palvelunantajien kanssa poikkeavaa toimintaa havaitessaan. Kansaneläkelaitoksen on viipymättä ilmoitettava Liikenne- ja viestintäviraston kyberturvallisuuskeskukselle havaitsemistaan tietoturvallisuusloukkauksista ja tietoturvallisuuden häiriöistä ja salassapitosäännösten estämättä annettava sille välttämättömät tiedot.

Kansaneläkelaitos voi laatia ja luovuttaa valtakunnallisten tietojärjestelmäpalveluiden ohjaamisesta, valvonnasta ja kehittämisestä vastaaville viranomaisille valtakunnallisissa tietojärjestelmäpalveluissa olevista tiedoista ja asiakirjojen kuvailutiedoista ja lokitiedoista yhteenvetoja, joilla on merkitystä valtakunnallisten palvelujen kehittämisessä, seurannassa tai raportoinnissa. Kansaneläkelaitos voi laatia ja luovuttaa palvelunantajalle sen omassa rekisterissä oleviin, valtakunnallisiin tietojärjestelmäpalveluihin tallennettuihin asiakastietoihin ja lokitietoihin perustuvia yhteenvetoja, joilla on merkitystä palvelunantajan toiminnan kehittämisessä, seurannassa, raportoinnissa ja valvonnassa. Yhteenvedot eivät saa sisältää henkilötietoja.

Valtakunnallisten tietojärjestelmäpalvelujen suojaamisessa noudatetaan sitä, mitä valtion viranomaisten ja kuntien tietoturvallisuutta koskevista velvoitteista erikseen säädetään. Kansaneläkelaitos ei saa antaa valtakunnallisten tietojärjestelmäpalvelujen järjestämiseen liittyvien tässä laissa tarkoitettujen rekisterien eikä niihin liittyvien lokirekistereiden käsittelyä tai säilyttämistä ulkopuolisten tehtäväksi.

67 § Velvollisuus liittyä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi

Palvelunantajan ja apteekin on liityttävä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi, ja otettava käyttöön ne 65 §:n 1 momentissa tarkoitetut tietojärjestelmäpalvelut, joihin sillä on velvoite tallentaa asiakastietoja tai jonka avulla sille voidaan luovuttaa asiakastietoja.

Yksityisen sosiaali- ja terveydenhuollon palvelunantajan on liityttävä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi, jos sillä on käytössään potilastietojen tai sosiaalihuollon asiakastietojen käsittelyyn tarkoitettu tietojärjestelmä.

Muut sosiaali- ja terveysalan toimijat kuin palvelunantajat, joiden palveluita ja asiakastietojen käsittelyä koskevia tahdonilmauksia tallennetaan 65 §:n 1 momentin 7 kohdassa tarkoitettuun tahdonilmaisupalveluun, voivat liittyä tahdonilmaisupalvelun käyttäjäksi.

Ahvenanmaan maakunnan sosiaali- ja terveydenhuollon palvelunantaja voi liittyä valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi.

68 § Asiakkaan informointi valtakunnallisista tietojärjestelmäpalveluista

Palvelunantajan on annettava asiakkaalle tiedot hänen oikeuksistaan sekä hänen asiakastietoihinsa liittyvistä valtakunnallisista tietojärjestelmäpalveluista ja niiden yleisistä toimintaperiaatteista. Tiedot on annettava asiakkaalle viimeistään hänen ensimmäisen asiointinsa yhteydessä.

Terveyden ja hyvinvoinnin laitos vastaa asiakkaille annettavan informaation tietosisällöstä ja Kansaneläkelaitos vastaa informaatiomateriaalista.

69 § Valtakunnallinen asiakastietovaranto

Valtakunnallisiin tietojärjestelmäpalveluihin liittymisen jälkeen palvelunantajan tulee tallentaa asiakasasiakirjojen alkuperäiset kappaleet sekä jäljennökset kysely- ja välityspalvelun kautta välitettävistä asiakirjoista valtakunnalliseen asiakastietovarantoon lukuun ottamatta lääkemääräyksiä ja muita reseptikeskukseen tallennettavia lääkehoitoa koskevia merkintöjä. Ennen liittymistä syntyneet asiakasasiakirjat voidaan tallentaa valtakunnalliseen asiakastietovarantoon. Valtakunnalliseen asiakastietovarantoon voidaan tallentaa asiakasasiakirjojen lisäksi myös muita asiakastietoja sisältäviä asiakirjoja sekä sosiaali- ja terveydenhuollon järjestämiseen liittyviä asiakirjoja.

Sähköisestä asiakasasiakirjasta saa olla valtakunnallisessa asiakastietovarannossa vain yksi alkuperäinen tunnisteella yksilöity kappale. Alkuperäisestä asiakasasiakirjasta voidaan palvelun toteuttamiseksi tai muusta perustellusta syystä tehdä toinen tallenne, josta on käytävä ilmi, ettei se ole alkuperäinen asiakirja.

Kukin 13 §:ssä tarkoitettu asiakastietojen rekisterinpitäjä on valtakunnalliseen asiakastietovarantoon tallentamiensa asiakirjojen rekisterinpitäjä.

70 § Lokirekisterien säilytyspalvelu

Palvelunantajan on tallennettava 10 §:ssä tarkoitetut asiakastietojen luovutusta koskevat lokitiedot lokirekisterien säilytyspalveluun. Palvelunantaja voi tallentaa lokirekisterien säilytyspalveluun myös asiakastietojen käyttöä koskevat lokitiedot.

Kansaneläkelaitoksen on kerättävä ja tallennettava lokirekisterien säilytyspalveluun seurantaa ja valvontaa varten 65 §:ssä tarkoitettuihin valtakunnallisiin tietojärjestelmäpalveluihin tallennettujen ja niiden kautta luovutettujen tietojen luovutuslokitiedot, joista ilmenee luovutetut tietosisällöt, luovutuksen saaja ja luovutusajankohta muut tarvittavat tiedot sekä ammattilaisen käyttöliittymällä käsiteltyjen tietojen käyttölokitiedot.

Kukin sosiaali- ja terveydenhuollon palvelunantaja, apteekki ja Kansaneläkelaitos ovat toiminnassaan syntyneiden käyttölokien rekisterinpitäjiä.

Ammattilaisen käyttöliittymän käyttölokien yhteisrekisterinpitäjiä ovat terveydenhuollon ammattihenkilö ja Kansaneläkelaitos. Kansaneläkelaitos toimii tietosuoja-asetuksen 26 artiklan 1 kohdan mukaisena yhteyspisteenä, joka vastaa myös käyttölokitietojen luovuttamisesta. Kansaneläkelaitos vastaa yhteisrekisterinpitäjänä tietojen turvallisuuden varmistamisesta sekä tietojen säilyttämisestä ja hävittämisestä siten kuin 66 §:ssä säädetään.

Kukin sosiaali- ja terveydenhuollon palvelunantaja ja Kansaneläkelaitos ovat sosiaali- ja terveydenhuollossa syntyneiden luovutuslokien yhteisrekisterinpitäjiä. Reseptikeskuksen luovutuslokin yhteisrekisterinpitäjiä ovat palvelunantajat, apteekit ja Kansaneläkelaitos. Lokirekisterien säilytyspalvelun tietoja tallentavat palvelunantajat vastaavat toiminnassaan syntyneiden tietojen oikeellisuudesta sekä muista rekisterinpitäjän velvoitteista. Kansaneläkelaitos vastaa yhteisrekisterinpitäjänä tietojen turvallisuuden varmistamisesta sekä tietojen säilyttämisestä ja hävittämisestä siten kuin 66 §:ssä säädetään. Kansaneläkelaitos toimii tietosuoja-asetuksen 26 artiklan 1 kohdan mukaisena yhteyspisteenä.

71 § Tiedonhallintapalvelu

Tiedonhallintapalvelu koostaa potilasasiakirjoista terveydenhuollon toteuttamisen kannalta keskeiset ajantasaiset potilastiedot ja tuottaa niistä yhteenvetoja palvelunantajille ja apteekeille potilaan hoidon toteuttamista varten. Keskeisiä potilastietoja ovat diagnoosit ja käyntisyyt, riskit, laboratoriotulokset, rokotukset, toimenpiteet, lääkehoitoa koskevat merkinnät, fysiologiset mittaukset ja toimenpidekoodistolla kirjatut kuvantamistutkimukset, toimintakykyyn liittyvät tiedot, ajanvaraustiedot sekä potilaslain 4 a §:ssä tarkoitettu suunnitelma potilaan tutkimuksesta, hoidosta tai kuntoutuksesta tai muu vastaava suunnitelma. Tiedonhallintapalvelu saa koostaa myös muita potilasasiakirjamerkintöjä. Palvelunantajalla on oikeus saada ja käyttää tiedonhallintapalvelun tietoja siten kuin 53 ja 54 §:ssä säädetään. Tiedonhallintapalvelusta saatuja tietoja saa käsitellä 9 §:ssä säädettyjen käyttöoikeuksien puitteissa.

Kukin sosiaali- ja terveydenhuollon palvelunantaja ja Kansaneläkelaitos ovat tiedonhallintapalvelun yhteisrekisterinpitäjiä. Kansaneläkelaitos vastaa yhteisrekisterinpitäjänä tietojen turvallisuuden varmistamisesta sekä tietojen säilyttämisestä ja hävittämisestä siten kuin 66 §:ssä säädetään. Tiedonhallintapalveluun koostettavia tietoja tallentavat palvelunantajat vastaavat tallennettavien tietojen oikeellisuudesta sekä muista rekisterinpitäjän velvoitteista. Kansaneläkelaitos toimii tietosuoja-asetuksen 26 artiklan 1 kohdan mukaisena yhteyspisteenä, joka vastaa myös tiedonhallintapalveluun tallennettujen tietojen luovuttamisesta.

72 § Tahdonilmaisupalvelu

Tahdonilmaisupalveluun on tallennettava tieto tämän lain ja lääkemääräyslain mukaisista informoinneista, luovutusluvista, kielloista ja valtakunnallisia tietojärjestelmäpalveluja koskevista suostumuksista.

Tahdonilmaisupalveluun voidaan tallentaa myös tieto muista kuin 1 momentissa tarkoitetuista henkilön:

1) terveyden- ja sairaanhoitoon tai sosiaalipalveluihin liittyvistä tahdonilmauksista;

2) sosiaali- ja terveysalan palveluihin ja asiakastietojen käsittelyyn liittyvistä tahdonilmauksista.

Kukin sosiaali- ja terveydenhuollon palvelunantaja ja Kansaneläkelaitos ovat tahdonilmaisupalveluun tallennettujen sosiaali- ja terveydenhuoltoa koskevien 1 momentin ja 2 momentin 1 kohdassa tarkoitettujen tahdonilmausten yhteisrekisterinpitäjiä. Kansaneläkelaitos vastaa yhteisrekisterinpitäjänä tietojen turvallisuuden varmistamisesta sekä tietojen säilyttämisestä ja hävittämisestä siten kuin 66 §:ssä säädetään. Tahdonilmaisupalveluun tietoja tallentavat palvelunantajat vastaavat tallennettavien tietojen oikeellisuudesta sekä muista rekisterinpitäjän velvoitteista. Kansaneläkelaitos toimii tietosuoja-asetuksen 26 artiklan 1 kohdan mukaisena yhteyspisteenä, joka vastaa tahdonilmaisupalveluun tallennettujen tietojen luovuttamisesta.

73 § Omatietovaranto

Henkilö voi tallentaa hyvinvointitietojaan omatietovarantoon hyvinvointisovelluksilla tai kansalaisen käyttöliittymän kautta ja hyödyntää niitä sieltä hyvinvointinsa edistämiseksi. Henkilöllä on oikeus päättää tietojensa käytöstä, muuttamisesta ja poistamisesta omatietovarannosta.

Kansaneläkelaitos on omatietovarannon rekisterinpitäjä. Kansaneläkelaitoksella ei kuitenkaan ole oikeutta käsitellä omatietovarantoon tallennettuja tietoja laajemmin kuin mitä omatietovarannon ylläpitoon kuuluvat tehtävät välttämättä edellyttävät tai luovuttaa niitä muihin kuin 3 momentin mukaisiin käyttötarkoituksiin.

Henkilö voi antaa suostumuksen siihen, että palvelunantajalle voidaan luovuttaa omatietovarannossa olevia hyvinvointitietoja sosiaali- ja terveyspalvelujen toteuttamiseksi.

Henkilön omatietovarannossa olevat tiedot on säilytettävä, kunnes henkilö on poistanut ne omatietovarannosta tai enintään 5 vuotta henkilön kuolemasta.

74 § Kansalaisen käyttöliittymä ja hyvinvointisovellukset sekä niiden välityksellä näytettävät asiakastiedot

Henkilö voi antaa tahdonilmauksia sekä hoitaa asiakkuuteensa ja asiakas- ja hyvinvointitietojensa hallinnointiin liittyviä asioita kansalaisen käyttöliittymällä.

Henkilölle saadaan näyttää tai toimittaa kansalaisen käyttöliittymän tai hyvinvointisovelluksen välityksellä valtakunnallisiin tietojärjestelmäpalveluihin hänestä tallennetut tiedot lukuun ottamatta sellaista tietoa, jota julkisuuslain 11 §:n 2 momentin, tietosuojalain 34 §:n tai muun lainsäädännön mukaan asiakkaalla ei ole oikeutta saada. Saadakseen tiedot hyvinvointisovellukseen asiakkaan tulee ottaa hyvinvointisovellus käyttöön ja hyväksyä tietojen luovutus. Lisäksi henkilölle saadaan näyttää käyttöliittymän välityksellä hänen tietojensa käsittelyä koskevat luovutus- ja käyttölokitiedot lukuun ottamatta luovutuksensaajan henkilötietoja.

Sen estämättä, mitä 2 momentissa säädetään, henkilölle saadaan näyttää hänen puolestaan asioineen henkilön nimi.

75 § Ammattilaisen käyttöliittymä sähköisen lääkemääräyksen käsittelyyn

Kansaneläkelaitoksen tulee toteuttaa ammattilaisen käyttöliittymä, joka mahdollistaa sähköisten lääkemääräysten laatimisen ja käsittelyn tietoverkkojen välityksellä.

Lääkäri voi laatia ammattilaisen käyttöliittymän avulla sähköisiä lääkemääräyksiä ammattioikeuden perusteella muulloin kuin palvelunantajan lukuun toimiessaan.

Ammattilaisen käyttöliittymällä laadittavien lääkemääräysten rekisterinpitäjyydestä säädetään lääkemääräyslaissa.

76 § Kysely- ja välityspalvelu

Valtakunnallisten tietojärjestelmäpalvelujen avulla saadaan välittää todistuksia, lausuntoja ja muita asiakastietoja sisältäviä asiakirjoja sosiaali- ja terveydenhuollon ulkopuoliselle toimijalle. Asiakirjoja saadaan salassapitosäännösten estämättä välittää asiakkaan pyynnön tai vastaanottajan lakiin perustuvan pyynnön taikka tiedon luovuttajan lakiin perustuvan tiedonantovelvollisuuden perusteella. Asiakirjojen välittäminen toteutetaan valtakunnalliseen tietojärjestelmäpalveluun kuuluvan kysely- ja välityspalvelun avulla.

Terveyden ja hyvinvoinnin laitos antaa määräykset siitä, minkä tyyppisiä asiakirjoja saa välittää kysely- ja välityspalvelun avulla.

10 luku. Tietoturvallisuuden ja tietosuojan omavalvonta

77 § Tietoturvasuunnitelma

Palvelunantajan, apteekin, välittäjän ja Kansaneläkelaitoksen on laadittava tietoturvaan ja tietosuojaan sekä tietojärjestelmien käyttöön liittyvä tietoturvasuunnitelma. Tietoturvasuunnitelmassa on selvitettävä, miten asiakas- ja potilastietojen käsittelyyn ja tietojärjestelmiin liittyvät vaatimukset varmistetaan:

1) henkilöillä, jotka käyttävät tietojärjestelmiä, on niiden käytön vaatima koulutus;

2) tietojärjestelmien yhteydessä on saatavilla niiden asianmukaisen käytön kannalta tarpeelliset käyttöohjeet;

3) tietojärjestelmiä käytetään tietojärjestelmäpalvelun tuottajan antaman ohjeistuksen mukaisesti;

4) tietojärjestelmiä ylläpidetään ja päivitetään tietojärjestelmäpalvelun tuottajan ohjeistuksen mukaisesti;

5) tietojärjestelmän käyttöympäristö soveltuu tietojärjestelmien asianmukaiseen sekä tietoturvan ja tietosuojan varmistavaan käyttöön ja käyttöympäristöön ja tietojärjestelmiin kohdistuvien riskien hallinnasta huolehditaan;

6) tietojärjestelmiin liitetyt muut tietojärjestelmät tai muut järjestelmät eivät vaaranna tietojärjestelmien suorituskykyä eivätkä niiden tietoturva- tai tietosuojaominaisuuksia;

7) tietojärjestelmiä asentaa, ylläpitää ja päivittää vain henkilö, jolla on siihen tarvittava ammattitaito ja asiantuntemus ja jonka luotettavuus on varmistettu julkisen hallinnon tiedonhallinnasta annetun lain (906/2019) 12 §:ssä tarkoitetulla tavalla, jos henkilö tehtävissään pääsee käsittelemään asiakastietoja tai jos hän muuten tehtävissään voi vaarantaa sosiaali- ja terveydenhuollon jatkuvuuden kannalta kriittisten tietojärjestelmien toimintaa;

8) tietojärjestelmät täyttävät käyttötarkoituksensa mukaiset 84 §:ssä säädetyt olennaiset vaatimukset; sekä

9) palvelunantajalla, apteekilla, välittäjällä ja Kansaneläkelaitoksella on suunnitelma siitä, miten tietoturvan ja tietosuojan omavalvonta järjestetään ja toteutetaan sen toiminnassa.

Ennen liittymistään valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi on palvelunantajan ja apteekin tietoturvasuunnitelmassa esitettävä myös selvitys siitä, miten tietosuoja ja valtakunnallisten palvelujen tietoturvallisen käytön edellyttämät vaatimukset on varmistettu.

Terveyden ja hyvinvoinnin laitos voi antaa tarkempia määräyksiä 1 ja 2 momentissa tarkoitetuista tietoturvasuunnitelmaan sisällytettävistä selvityksistä ja vaatimuksista sekä tietoturvallisuuden todentamisesta.

78 § Tietoturvallisuuden omavalvonnan toteuttaminen ja vastuu

Sosiaali- ja terveydenhuollon palvelunantajan vastaavan johtajan ja apteekkarin on huolehdittava, että 77 §:ssä tarkoitettu tietoturvasuunnitelma laaditaan ja sitä noudatetaan. Palvelunantajan, apteekin ja Kansaneläkelaitoksen tulee oma-aloitteisesti ryhtyä tarvittaviin toimenpiteisiin, jos joku on lainvastaisesti käsitellyt asiakastietoja.

Tietosuojan ja tietoturvan seurannan ja valvonnan toteuttamiseksi palvelunantajalla ja apteekilla on oikeus saada Kansaneläkelaitokselta omien asiakasrekisteriensä lokitiedot, tiedonhallintapalvelussa ja tahdonilmaisupalvelussa olevien tietojen käsittelyyn liittyvät lokitiedot ja omatietovarannon lokitiedot siltä osin kuin asianomaisen palvelujenantajan tai apteekin henkilökunta on katsellut ja käsitellyt asiakkaan tiedonhallintapalvelussa, tahdonilmaisupalvelussa ja omatietovarannossa olevia tietoja, jos se on tarpeen asiakkaan asiakastietojen käsittelyn lainmukaisuuden selvittämiseksi.

Kansaneläkelaitoksen ja välittäjän on seurattava tietoturvasuunnitelmansa toteutumista.

Tietosuojavastaavan nimittämisestä sekä tietosuojavastaavan asemasta ja tehtävistä säädetään tietosuoja-asetuksen 37–39 artiklassa.

11 luku. Tietojärjestelmien ja hyvinvointisovellusten käyttötarkoitus ja käyttöönotto

79 § Tietojärjestelmien ja hyvinvointisovellusten käyttötarkoitus ja luokittelu

Tietojärjestelmäpalvelun tuottajan on laadittava kuvaus tietojärjestelmänsä ja hyvinvointisovelluksen valmistajan hyvinvointisovelluksensa käyttötarkoituksesta ja siitä, kuinka se täyttää sitä koskevat olennaiset vaatimukset.

Sosiaali- ja terveydenhuollon tietojärjestelmät sekä hyvinvointisovellukset on jaoteltava käyttötarkoitustensa ja ominaisuuksiensa perusteella luokkiin A ja B. Luokkaan A kuuluvat:

1) Kansaneläkelaitoksen ylläpitämät valtakunnalliset tietojärjestelmäpalvelut;

2) valtakunnallisiin tietojärjestelmäpalveluihin liitettäviksi tarkoitetut tietojärjestelmät ja hyvinvointisovellukset;

3) muut kuin 1 ja 2 kohdassa tarkoitetut käyttötarkoituksensa perusteella sertifioitavat tietojärjestelmät; sekä

4) välittäjien palvelut.

Muut kuin 2 momentissa tarkoitetut tietojärjestelmät kuuluvat luokkaan B.

Terveyden ja hyvinvoinnin laitos voi antaa määräyksiä tietojärjestelmien luokkien määräytymisestä. Terveyden ja hyvinvoinnin laitos päättää epäselvissä tilanteissa tietojärjestelmän luokasta.

80 § Tietojärjestelmien ja hyvinvointisovellusten rekisteröinti

Tietojärjestelmäpalvelun tuottajan on ilmoitettava tietojärjestelmästä ja hyvinvointisovelluksen valmistajan on ilmoitettava hyvinvointisovelluksesta Sosiaali- ja terveysalan lupa ja valvontavirastolle ennen tietojärjestelmän tai hyvinvointisovelluksen ottamista tuotantokäyttöön. Ilmoituksessa on oltava tieto tietojärjestelmän tai hyvinvointisovelluksen valmistajasta ja käyttötarkoituksesta sekä yhteyshenkilöstä. Lisäksi ilmoituksessa on oltava 85 §:n mukainen selvitys toiminnallisuutta koskevien vaatimusten toteutumisesta, 86 §:ssä tarkoitettu todistus yhteentoimivuuden testauksesta ja 87 §:ssä tarkoitettu todistus tietoturvallisuutta koskevien olennaisten vaatimusten täyttämisestä. Tietojärjestelmäpalvelun tuottajan ja hyvinvointisovelluksen valmistajan on ilmoitettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle tietojärjestelmän tai hyvinvointisovelluksen tuotantokäyttöön tarkoitetun version tuen päättymisestä tai tietojärjestelmän tai hyvinvointisovelluksen siirtymisestä toisen tietojärjestelmäpalvelun tuottajan vastuulle.

Sosiaali- ja terveysalan lupa- ja valvontavirasto ylläpitää julkista rekisteriä sille ilmoitetuista, vaatimukset täyttävistä sosiaali- ja terveydenhuollon tietojärjestelmistä ja hyvinvointisovelluksista. Rekisterissä on oltava ajantasainen tieto:

1) tuotantokäyttöön tarkoitetuista tietojärjestelmistä ja hyvinvointisovelluksista, niiden käyttötarkoituksista sekä niiden täyttämistä olennaisista vaatimuksista;

2) luokkaan A kuuluvien tuotantokäyttöön hyväksyttyjen tietojärjestelmien ja hyvinvointisovellusten yhteentoimivuuden testauksen tuloksista;

3) luokkaan A kuuluvien tuotantokäyttöön hyväksyttyjen tietojärjestelmien ja hyvinvointisovellusten tietoturvallisuuden arvioinnista saadun tietoturvallisuuden arviointia koskevan todistuksen voimassaolosta; sekä

4) tuotantokäytössä olevan luokkaan A kuuluvan tietojärjestelmän ja hyvinvointisovelluksen merkittävästä poikkeamasta poikkeaman keston ajan.

Sosiaali- ja terveysalan lupa ja valvontavirasto voi antaa määräyksiä ilmoituksen sisällöstä, voimassaolosta, ilmoituksen uudistamisesta ja rekisteriin merkittävistä tiedoista.

81 § Tietojärjestelmän ja hyvinvointisovelluksen ottaminen tuotantokäyttöön

Luokkaan A kuuluvan tietojärjestelmän tai hyvinvointisovelluksen saa ottaa tuotantokäyttöön ja liittää valtakunnallisiin tietojärjestelmäpalveluihin sen jälkeen, kun tietojärjestelmä tai hyvinvointisovellus on sertifioitu 85 §:n mukaisesti.

Tietojärjestelmää tai hyvinvointisovellusta ei saa ottaa tuotantokäyttöön, ellei siitä ole ajantasaisia tietoja 80 §:n 2 momentissa tarkoitetussa rekisterissä tai luokkaan A kuuluvan tietojärjestelmän tai hyvinvointisovelluksen tietoturvallisuuden arviointia koskeva todistus on vanhentunut. Luokkaan A kuuluvan tietojärjestelmän tuotantokäyttöönoton edellytyksenä on myös hyväksytty yhteentoimivuuden testaus niiden voimassa olevien yhteentoimivuutta koskevien vaatimusten osalta, jotka vastaavat järjestelmän käyttötarkoitusta.

Hyvinvointisovellusta ei saa ottaa tuotantokäyttöön, jos se ei vastaa 84 §:ssä tarkoitettua toiminnallisten vaatimusten täyttymisen edellytyksenä olevaa terveyden ja hyvinvoinnin edistämisen käyttötarkoitusta.

82 § Tietojärjestelmän ja hyvinvointisovelluksen käyttöönoton jälkeinen seuranta

Tietojärjestelmäpalvelun tuottajan on seurattava ja arvioitava ajantasaisella järjestelmällisellä menettelyllä tietojärjestelmästä ja hyvinvointisovelluksen valmistajan hyvinvointisovelluksesta sen tuotantokäytön aikana saatavia kokemuksia. Tietojärjestelmän olennaisten vaatimusten merkittävistä poikkeamista on ilmoitettava kaikille järjestelmää käyttäville palvelunantajille ja apteekeille. Hyvinvointisovelluksen merkittävistä poikkeamista on ilmoitettava kaikille hyvinvointisovelluksen käyttäjille. Luokkaan A kuuluvien tietojärjestelmien ja hyvinvointisovellusten merkittävistä poikkeamista on tietojärjestelmäpalvelun tuottajan ja hyvinvointisovelluksen valmistajan ilmoitettava Kansaneläkelaitokselle ja Sosiaali- ja terveysalan lupa- ja valvontavirastolle.

Tietojärjestelmäpalvelun tuottajan on seurattava tietojärjestelmien ja hyvinvointisovelluksen valmistajan hyvinvointisovellusten olennaisten vaatimusten muutoksia ja tehtävä muutosten edellyttämät korjaukset. Tietojärjestelmän ja hyvinvointisovelluksen olennaisista muutoksista on ilmoitettava Sosiaali- ja terveysalan lupa- ja valvontaviranomaiselle. Luokkaan A kuuluvan tietojärjestelmän ja hyvinvointisovelluksen olennaisista muutoksista on lisäksi ilmoitettava tietoturvallisuuden arviointilaitokselle ja valtakunnallisiin tietojärjestelmäpalveluihin liitetyn tietojärjestelmän ja hyvinvointisovelluksen olennaisista muutoksista on ilmoitettava Kansaneläkelaitokselle. Tietoturvallisuuden arviointia koskeva todistus tai yhteentoimivuuden testaus on uudistettava, jos tietojärjestelmään tai hyvinvointisovellukseen tehdään merkittäviä muutoksia, tai olennaisia vaatimuksia on muutettu tavalla, joka edellyttää uutta sertifiointia.

Tietojärjestelmäpalvelun tuottajan ja hyvinvointisovelluksen valmistajan on säilytettävä yhteentoimivuutta ja tietoturvaa koskevat sekä muut valvonnan edellyttämät tiedot vähintään viisi vuotta tietojärjestelmänsä tai hyvinvointisovelluksensa tuotantokäytön päättymisestä.

Terveyden ja hyvinvoinnin laitos voi antaa tarkempia määräyksiä siitä, mitkä ovat 1 momentissa tarkoitettuja merkittäviä poikkeamia ja miten niitä koskevat ilmoitukset tehdään.

12 luku. Tietojärjestelmien ja hyvinvointisovellusten olennaiset vaatimukset

83 § Tietojärjestelmäpalvelun tuottajan ja tietojärjestelmän valmistajan sekä hyvinvointisovelluksen valmistajan yleiset velvollisuudet

Tietojärjestelmän valmistaja on vastuussa sosiaali- ja terveydenhuollon tietojärjestelmän suunnittelusta ja valmistuksesta riippumatta siitä, suorittaako se nämä toimet itse vai tekeekö joku muu ne sen lukuun. Hyvinvointisovelluksen valmistaja on vastuussa sovelluksen suunnittelusta ja valmistuksesta.

Tietojärjestelmäpalvelun tuottajan on laadittava kuvaus tietojärjestelmänsä ja hyvinvointisovelluksen valmistajan hyvinvointisovelluksensa käyttötarkoituksesta ja annettava sen yhteydessä järjestelmän käyttäjälle yhteentoimivuuden, tietoturvallisuuden ja tietosuojan sekä toiminnallisuuden kannalta tarpeelliset tiedot ja ohjeet järjestelmän käyttöönotosta, tuotantokäytöstä ja ylläpidosta.

Tietojärjestelmän mukana annettavien tietojen ja ohjeiden on oltava suomen-, ruotsin- tai englanninkielisiä. Tietojärjestelmää käyttävälle sosiaali- tai terveydenhuollon henkilöstölle tarkoitettujen tietojen ja ohjeiden on oltava suomen- tai ruotsinkielisiä.

Tietojärjestelmän valmistajalla on oltava laatujärjestelmä, jota sovelletaan tietojärjestelmän suunnitteluun ja valmistukseen tietojärjestelmän käyttötarkoituksen edellyttämällä tavalla.

84 § Tietojärjestelmälle ja hyvinvointisovellukselle asetettavat olennaiset vaatimukset

Asiakastietojen käsittelyssä käytettävän tietojärjestelmän ja hyvinvointisovelluksen tulee täyttää yhteentoimivuutta, tietoturvaa ja tietosuojaa sekä toiminnallisuutta koskevat olennaiset vaatimukset. Hyvinvointisovelluksen tulee täyttää saavutettavuusvaatimukset. Vaatimusten on täytyttävä käytettäessä tietojärjestelmää sekä itsenäisesti että yhdessä muiden siihen liitettäviksi tarkoitettujen tietojärjestelmien kanssa.

Palvelunantajan ja apteekin käyttämien tietojärjestelmien on vastattava käyttötarkoitukseltaan palvelunantajan ja apteekin toimintaa ja täytettävä palvelunantajan ja apteekin toimintaan liittyvät olennaiset vaatimukset. Olennaiset vaatimukset voidaan täyttää yhden tai useamman tietojärjestelmän muodostaman kokonaisuuden kautta.

Tietojärjestelmä tai hyvinvointisovellus täyttää olennaiset vaatimukset, jos se on suunniteltu, valmistettu ja toimii tietoturvaa ja tietosuojaa koskevien lakien ja niiden nojalla annettujen säännösten sekä yhteentoimivuutta koskevien kansallisten määrittelyjen mukaisesti. Toiminnallisuutta koskevat olennaiset vaatimukset täyttyvät, jos tietojärjestelmällä pystytään suorittamaan käyttötarkoituksen mukaisessa asiakastietojen käsittelyssä lakien ja niiden nojalla annettujen säännösten edellyttämät toiminnot. Hyvinvointisovelluksen toiminnallisuutta koskevien vaatimusten täyttymisen edellytyksenä on, että hyvinvointisovellus edistää kansalaisten terveyttä ja hyvinvointia.

Terveyden ja hyvinvoinnin laitos antaa tarkempia määräyksiä olennaisten vaatimusten sisällöstä, toimeenpanon määräajoista ja siitä, mitkä olennaiset vaatimukset on täytettävä eri palveluissa käytettävissä tietojärjestelmissä ja hyvinvointisovelluksissa. Ennen määräyksen antamista on pyydettävä Liikenne- ja viestintäviraston kyberturvallisuuskeskukselta lausunto tietoturvaa ja tietoturvavaatimusten todentamisen menettelyjä koskevista vaatimuksista ja tietosuojavaltuutetun toimistolta tietosuojaa koskevista vaatimuksista.

85 § Vaatimustenmukaisuuden osoittaminen

Luokkaan A kuuluvan tietojärjestelmän ja hyvinvointisovelluksen vaatimustenmukaisuus on osoitettava sertifioinnilla eli tietojärjestelmäpalvelun tuottajan tai hyvinvointisovelluksen valmistajan antamalla selvityksellä siitä, että tietojärjestelmä tai hyvinvointisovellus täyttää käyttötarkoituksensa mukaiset toiminnallisuutta koskevat vaatimukset, sekä hyväksytyllä yhteentoimivuuden testauksella ja 87 §:n mukaisella tietoturvallisuuden arviointilaitoksen antamalla tietoturvallisuuden arviointia koskevalla todistuksella. Tietojärjestelmäpalvelun tuottaja tai hyvinvointisovelluksen valmistaja vastaa siitä, että tietojärjestelmä tai hyvinvointisovellus on sertifioitu.

Luokkaan B kuuluvan tietojärjestelmän vaatimustenmukaisuus on osoitettava tietojärjestelmäpalvelun tuottajan antamalla kirjallisella selvityksellä siitä, että tietojärjestelmä asianmukaisesti asennettuna, ylläpidettynä ja käytettynä täyttää käyttötarkoituksensa mukaiset olennaiset vaatimukset. Tietojärjestelmäpalvelun tuottaja vastaa tietojärjestelmän olennaisten vaatimusten arvioinnista. Tietojärjestelmäpalvelun tuottajan tulee vakuuttaa osana vaatimuksista annettavaa selvitystä, että järjestelmässä on toteutettu ne toiminnot, jotka selvityksen mukaisesti kuuluvat järjestelmän käyttötarkoitukseen.

Terveyden ja hyvinvoinnin laitos voi antaa määräyksiä vaatimustenmukaisuuden osoittamisessa noudatettavista menettelyistä ja annettavan selvityksen sisällöstä. Lisäksi Kansaneläkelaitos voi antaa määräyksiä tässä laissa tai lääkemääräyslaissa tarkoitettuihin valtakunnallisiin tietojärjestelmäpalveluihin liitettävien tietojärjestelmien yhteentoimivuuden todentamisessa noudatettavista menettelyistä.

86 § Yhteentoimivuuden testaaminen

Luokkaan A kuuluvan tietojärjestelmän ja hyvinvointisovelluksen on oltava yhteentoimiva valtakunnallisten tietojärjestelmäpalvelujen ja siihen liitettyjen muiden tietojärjestelmien kanssa. Yhteentoimivuus on osoitettava Kansaneläkelaitoksen järjestämässä yhteentoimivuuden testauksessa. Ennen yhteentoimivuuden testausta tietojärjestelmäpalvelun tuottajan ja hyvinvointisovelluksen valmistajan on annettava Kansaneläkelaitokselle selvitys siitä, miten tietojärjestelmän tai hyvinvointisovelluksen toiminnallisuutta koskevat vaatimukset on toteutettu ja testattu. Yhteentoimivuuden testauksen ajankohdasta ja toteuttamisesta on sovittava Kansaneläkelaitoksen kanssa.

Tuotantokäyttöön otetun luokkaan A kuuluvan tietojärjestelmän on oltava mukana valtakunnallisiin tietojärjestelmäpalveluihin liitettävien muiden tietojärjestelmien yhteistestauksissa tietojärjestelmien keskinäisen yhteentoimivuuden varmistamiseksi. Kansaneläkelaitos päättää niistä tietojärjestelmistä, joiden tulee osallistua yhteentoimivuuden testaukseen. Yhteentoimivuuden testaukseen osallistuvien tietojärjestelmien tietojärjestelmäpalvelun tuottajat vastaavat itse testauksen niille aiheuttamista kustannuksista. Kansaneläkelaitos antaa yhteentoimivuuden testaukseen perustuvan todistuksen yhteentoimivuutta koskevien vaatimusten täyttymisestä, kun ne on todennettu.

Edellä 1 momentissa säädetystä poiketen Kansaneläkelaitoksen ylläpitämille valtakunnallisille tietojärjestelmäpalveluille sekä niille luokkaan A kuuluville tietojärjestelmille, joita ei liitetä valtakunnallisiin tietojärjestelmäpalveluihin, ei suoriteta erillistä yhteentoimivuuden testausta.

87 § Tietoturvallisuuden arviointi

Luokkaan A kuuluvan tietojärjestelmän ja hyvinvointisovelluksen olennaisten tietoturvallisuusvaatimustenmukaisuuden arviointi suoritetaan tämän lain ja tietoturvallisuuden arviointilaitoksista annetun lain mukaisesti. Tämän lain mukaiseen tietoturvallisuuden arviointiin ei kuitenkaan sisälly tietojärjestelmäpalvelun tuottajan, tietojärjestelmän valmistajan eikä käyttäjän toimitilojen arviointi eikä tarkastaminen. Tietoturvallisuuden arviointi tehdään tietojärjestelmäpalvelun tuottajan tai hyvinvointisovelluksen valmistajan hakemuksesta.

Tietoturvallisuuden arviointilaitoksen on annettava suorittamastaan tietoturvallisuuden arvioinnista tietojärjestelmäpalvelun tuottajalle ja hyvinvointisovelluksen valmistajalle todistus sekä siihen liittyvä tarkastusraportti, jos tietojärjestelmä täyttää tietoturvallisuutta koskevat olennaiset vaatimukset. Arviointi on suoritettava tietojärjestelmän ja hyvinvointisovelluksen käyttötarkoitusta koskevien olennaisten vaatimusten tai järjestelmään tehtyjen muutosten laajuuden mukaisesti.

Tietoturvallisuuden arviointilaitos voi vaatia tietojärjestelmäpalvelun tuottajalta ja hyvinvointisovelluksen valmistajalta kaikki arvioinnin edellyttämät tiedot todistuksen laatimiseksi. Todistuksen antamiseen sovelletaan muutoin, mitä tietoturvallisuuden arviointilaitoksista annetun lain 9 §:ssä säädetään. Todistus on voimassa enintään kolme vuotta. Todistuksen voimassaoloa voidaan jatkaa enintään kolmeksi vuodeksi kerrallaan.

88 § Kansaneläkelaitoksen ja tietoturvallisuuden arviointilaitoksen ilmoittamisvelvollisuus

Tietoturvallisuuden arviointilaitoksen on ilmoitettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle, Kansaneläkelaitokselle ja Terveyden ja hyvinvoinnin laitokselle tiedot kaikista myönnetyistä, muutetuista, täydennetyistä ja evätyistä 87 §:ssä tarkoitetuista todistuksista. Kansaneläkelaitoksen on ilmoitettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle, tietoturvallisuuden arviointilaitokselle ja Terveyden ja hyvinvoinnin laitokselle tiedot kaikista myönnetyistä, muutetuista, täydennetyistä ja evätyistä 86 §:ssä tarkoitetuista todistuksista.

Tietoturvallisuuden arviointilaitoksen on pyydettäessä annettava Sosiaali- ja terveysalan lupa- ja valvontavirastolle kaikki tarvittavat lisätiedot tietojärjestelmistä ja hyvinvointisovelluksista, joille arviointilaitos on myöntänyt tietoturvallisuuden arviointia koskevan todistuksen.

13 luku. Tietojärjestelmien valvonta

89 § Tietojärjestelmien valvonta ja tarkastukset

Sosiaali- ja terveysalan lupa- ja valvontaviraston tehtävänä on valvoa ja edistää tietojärjestelmien ja hyvinvointisovellusten vaatimustenmukaisuutta.

Sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus tehdä valvonnan edellyttämiä tarkastuksia. Tarkastus voidaan tehdä ennalta ilmoittamatta. Tarkastuksen suorittamiseksi tarkastajalla on oikeus päästä kaikkiin tiloihin, joissa harjoitetaan tässä laissa tarkoitettua toimintaa tai säilytetään tämän lain noudattamisen valvonnan kannalta merkityksellisiä tietoja. Tarkastusta ei kuitenkaan saa tehdä pysyväisluonteiseen asumiseen käytettävissä tiloissa. Lisäksi tarkastusta toteutettaessa on noudatettava hallintolain 39 §:ää. Jos tarkastettava taho vastustaa tarkastuksen suorittamista tai muutoin yrittää vaikeuttaa sitä, on Sosiaali- ja terveysalan lupa- ja valvontavirastolla oikeus saada tarpeellista poliisin virka-apua. Poliisin antamasta virka-avusta säädetään poliisilain (872/2011) 9 luvun 1 §:n 1 momentissa.

Tarkastuksessa on esitettävä kaikki tarkastajan pyytämät asiakirjat, jotka ovat tarpeellisia tarkastuksen toimittamiseksi. Lisäksi tarkastajalle on annettava maksutta hänen pyytämänsä jäljennökset tarkastuksen toimittamiseksi tarpeellisista asiakirjoista.

Tarkastuksesta on laadittava pöytäkirja, josta on toimitettava jäljennös 30 päivän kuluessa asianosaiselle. Tarkastus katsotaan päättyneeksi, kun tarkastuspöytäkirjan jäljennös on annettu tiedoksi asianosaiselle. Sosiaali- ja terveysalan lupa- ja valvontaviraston on säilytettävä tarkastuspöytäkirja kymmenen vuoden ajan tarkastuksen päättymisestä.

90 § Ilmoittaminen tietojärjestelmän ja hyvinvointisovelluksen olennaisten vaatimusten poikkeamista sekä tietoverkkoihin kohdistuvista tietoturvallisuuden häiriöistä

Jos palvelunantaja tai apteekki havaitsee, että tietojärjestelmän olennaisten vaatimusten täyttymisessä on merkittäviä poikkeamia, sen on ilmoitettava asiasta tietojärjestelmäpalvelun tuottajalle. Jos tietojärjestelmän tai hyvinvointisovelluksen poikkeama voi aiheuttaa merkittävän riskin asiakas- tai potilasturvallisuudelle tai tietoturvalle, on palvelunantajan, apteekin, tietojärjestelmäpalvelun tuottajan tai tietojärjestelmän valmistajan, hyvinvointisovelluksen valmistajan, Kansaneläkelaitoksen tai Terveyden ja hyvinvoinnin laitoksen ilmoitettava siitä Sosiaali- ja terveysalan lupa- ja valvontavirastolle. Myös muu taho voi ilmoittaa Sosiaali- ja terveysalan lupa- ja valvontavirastolle havaitsemistaan riskeistä. Jos tietojärjestelmän poikkeama voi aiheuttaa merkittävän riskin apteekin toiminnalle, on apteekin ilmoitettava siitä lisäksi Lääkealan turvallisuus- ja kehittämiskeskukselle. Henkilötietojen tietoturvaloukkauksista ilmoittamisesta tietosuojavaltuutetulle säädetään tietosuoja-asetuksen 33 artiklassa.

Palvelunantajan, apteekin, Kansaneläkelaitoksen ja tietojärjestelmäpalvelun tuottajan tai tietojärjestelmän valmistajan tai välittäjän on ilmoitettava viipymättä Sosiaali- ja terveysalan lupa- ja valvontavirastolle sellaisesta sen käyttämiin käyttöympäristöihin ja tietoverkkoihin kohdistuvasta merkittävästä tietoturvallisuuteen liittyvästä häiriöstä, jonka seurauksena tietojärjestelmien käyttö ja sosiaali- ja terveyspalveluiden toteuttaminen voi merkittävästi vaarantua. Sosiaali- ja terveysalan lupa- ja valvontavirasto voi antaa tarkempia määräyksiä siitä, milloin häiriö on merkittävä, sekä ilmoituksen sisällöstä, muodosta ja toimittamisesta.

Apteekin on lisäksi ilmoitettava viipymättä Lääkealan turvallisuus- ja kehittämiskeskukselle sellaisesta sen käyttämiin käyttöympäristöihin ja tietoverkkoihin kohdistuvasta merkittävästä tietoturvallisuuteen liittyvästä häiriöstä, jonka seurauksena apteekin toiminta voi merkittävästi vaarantua. Lääkealan turvallisuus- ja kehittämiskeskus voi antaa tarkempia määräyksiä siitä, milloin häiriö on merkittävä, sekä ilmoituksen sisällöstä, muodosta ja toimittamisesta.

Jos 1 ja 2 momentissa tarkoitetusta tietoturvallisuuteen liittyvästä poikkeamasta tai häiriöstä ilmoittaminen on yleisen edun mukaista, Sosiaali- ja terveysalan lupa- ja valvontavirasto voi velvoittaa palvelunantajan, apteekin, Kansaneläkelaitoksen, tietojärjestelmäpalvelun tuottajan tai tietojärjestelmän valmistajan taikka välittäjän tiedottamaan yleisölle asiasta taikka kuultuaan ilmoitusvelvollista tiedottaa asiasta itse. Lisäksi Lääkealan turvallisuus- ja kehittämiskeskus voi velvoittaa apteekin tiedottamaan yleisölle 3 momentissa tarkoitetusta häiriöstä taikka kuultuaan ilmoitusvelvollista tiedottaa häiriöstä itse.

91 § Sosiaali- ja terveysalan lupa- ja valvontaviraston tiedonsaantioikeus valvontaa varten

Sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus saada maksutta ja salassapitosäännösten estämättä sosiaali- ja terveydenhuollon tietojärjestelmien ja hyvinvointisovellusten valvontaa varten välttämättömät tiedot valtion ja hyvinvointialueen viranomaisilta sekä luonnollisilta ja oikeushenkilöiltä, joita tämän lain tai sen nojalla annetut säännökset ja päätökset sosiaali- ja terveydenhuollon tietojärjestelmistä koskevat.

92 § Sosiaali- ja terveysalan lupa- ja valvontaviraston oikeus ulkopuolisen asiantuntijan käyttöön

Sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus käyttää ulkopuolisia asiantuntijoita avustajina arvioidessaan tietojärjestelmän ja hyvinvointisovelluksen vaatimustenmukaisuutta. Ulkopuoliset asiantuntijat voivat osallistua tämän lain mukaisiin tarkastuksiin sekä tutkia ja testata tietojärjestelmiä ja hyvinvointisovelluksia, mutta eivät voi tehdä hallintopäätöksiä. Ulkopuolisella asiantuntijalla tulee olla tehtävien edellyttämä asiantuntemus ja pätevyys. Ulkopuoliseen asiantuntijaan sovelletaan rikosoikeudellista virkavastuuta koskevia säännöksiä hänen suorittaessaan tässä laissa tarkoitettuja tehtäviä. Vahingonkorvausvastuusta säädetään vahingonkorvauslaissa (412/1974).

93 § Määräys velvollisuuksien täyttämiseksi

Jos sosiaali- tai terveydenhuollon tietojärjestelmäpalvelun tuottaja tai tietojärjestelmän valmistaja, hyvinvointisovelluksen valmistaja, välittäjä taikka Kansaneläkelaitos on laiminlyönyt tässä laissa säädetyn velvollisuutensa, Sosiaali- ja terveysalan lupa- ja valvontavirasto voi päätöksellään määrätä velvollisuuden täytettäväksi määräajassa.

94 § Käytössä oleviin tietojärjestelmiin ja hyvinvointisovelluksiin kohdistuvat velvollisuudet

Sosiaali- ja terveysalan lupa- ja valvontavirasto voi tehdessään 89 §:n nojalla tietojärjestelmää tai hyvinvointisovellusta koskevan valvonnan ja tarkastuksen samalla päätöksellään määrätä tietojärjestelmäpalvelun tuottajan tai tietojärjestelmän valmistajan korjaamaan tuotantokäytössä olevaa tietojärjestelmää koskevat puutteet ja hyvinvointisovelluksen valmistajan korjaamaan tuotantokäytössä olevaa hyvinvointisovellusta koskevat puutteet.

Jos tietojärjestelmä tai hyvinvointisovellus voi vaarantaa asiakas- tai potilasturvallisuuden tai toteuttaa puutteellisesti käyttötarkoituksen mukaiset olennaiset vaatimukset, eikä puutteita ole korjattu Sosiaali- ja terveysalan lupa- ja valvontaviraston asettamassa määräajassa, virasto voi kieltää tietojärjestelmän tai hyvinvointisovelluksen käytön, kunnes puutteet on korjattu. Lisäksi Kansaneläkelaitos voi sulkea yhteyden ylläpitämiinsä valtakunnallisiin tietojärjestelmäpalveluihin, jos niihin liitetty tietojärjestelmä tai sen käyttäjätaho taikka hyvinvointisovellus tai sen käyttäjätaho vaarantaa valtakunnallisten tietojärjestelmäpalvelujen asianmukaisen toiminnan.

Sosiaali- ja terveysalan lupa- ja valvontavirasto voi velvoittaa tietojärjestelmäpalvelun tuottajan, hyvinvointisovelluksen valmistajan tai niiden valtuuttaman edustajan tiedottamaan tietojärjestelmän tai hyvinvointisovelluksen tuotantokäyttöä koskevasta kiellosta tai määräyksestä asettamassaan määräajassa ja määräämällään tavalla.

95 § Muutoksenhaku

Sosiaali- ja terveysalan lupa- ja valvontaviraston tekemän tarkastuksen yhteydessä annettuun päätökseen saa vaatia oikaisua. Oikaisuvaatimuksesta säädetään hallintolaissa.

Muutoksenhausta hallintotuomioistuimeen säädetään oikeudenkäynnistä hallintoasioissa annetussa laissa (808/2019).

Sosiaali- ja terveysalan lupa- ja valvontaviraston tämän lain nojalla tekemää päätöstä on oikaisuvaatimuksesta tai muutoksenhausta huolimatta noudatettava, jollei oikaisuvaatimusta käsittelevä viranomainen tai hallintotuomioistuin toisin määrää.

96 § Uhkasakko

Sosiaali- ja terveysalan lupa- ja valvontaviraston tämän lain nojalla tekemää päätöstä voidaan tehostaa uhkasakolla. Uhkasakosta säädetään uhkasakkolaissa (1113/1990).

III OSA. ERINÄISET SÄÄNNÖKSET JA VOIMAANTULO

14 luku. Erinäiset säännökset

97 § Ohjaus, valvonta ja seuranta

Sosiaali- ja terveydenhuollon asiakastiedon sähköisen käsittelyn ja siihen liittyvän tiedonhallinnan yleinen suunnittelu, ohjaus ja valvonta sekä päätöksenteko merkittävien tiedonhallintahankkeiden rahoituksesta kuuluvat sosiaali- ja terveysministeriölle.

Terveyden ja hyvinvoinnin laitos vastaa sosiaali- ja terveydenhuollon asiakastiedon käsittelyn ja siihen liittyvän tiedonhallinnan sekä 65 §:ssä tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen ja yhteisten hallinnonalakohtaisten tietovarantojen toteuttamisen ja käytön suunnittelusta, ohjauksesta ja seurannasta sekä käytettävien tietorakenteiden yhteensovittamisesta.

Tietosuojavaltuutettu, Lääkealan turvallisuus- ja kehittämiskeskus, Sosiaali- ja terveysalan lupa- ja valvontavirasto sekä aluehallintovirasto toimialueellaan ohjaavat ja valvovat niille säädetyn toimivallan mukaisesti osaltaan tämän lain noudattamista.

98 § Sosiaali- ja terveydenhuollon sähköisen tiedonhallinnan yhteistyö

Sosiaali- ja terveysministeriön on huolehdittava, että sosiaali- ja terveydenhuollon sähköistä tiedonhallintaa ja valtakunnallisia tietojärjestelmäpalveluja koskevan yhteistyön koordinointia varten on järjestetty yhteistyötavat ja -menettelyt. Yhteistyön tarkoituksena on edistää tämän lain toteutumista.

Valtioneuvosto voi asettaa 1 momentissa tarkoitettua yhteistyötä varten tarvittavia neuvottelukuntia tai muita yhteistyöelimiä.

Kansaneläkelaitoksen on huolehdittava, että valtakunnallisten tietojärjestelmäpalvelujen tuotantotoimintaan liittyen on järjestetty yhteistyötavat ja -menettelyt palvelunantajien, apteekkien ja muiden tuotantotoiminnan sidosryhmien kanssa.

99 § Maksut

Kansaneläkelaitoksen ja Digi- ja väestötietoviraston hoitamien 65 §:ssä tarkoitettujen valtakunnallisten tietojärjestelmäpalvelujen käyttö on palvelunantajille ja apteekeille maksullista sen jälkeen, kun palvelunantaja tai apteekki on velvoitettu liittymään valtakunnallisten tietojärjestelmäpalvelujen käyttäjäksi. Kansaneläkelaitoksen perimät maksut säädetään valtion maksuperustelain (150/1992) 10 §:ssä säädetyn estämättä sosiaali- ja terveysministeriön asetuksella sellaisiksi, että ne vastaavat palvelujen hoidosta aiheutuvien kustannusten määrää. Maksujen tulee lisäksi turvata Kansaneläkelaitoksen palvelurahaston maksuvalmius. Digi- ja väestötietoviraston suoritteista perittävistä maksuista säädetään valtion maksuperustelaissa ja sen nojalla.

Kansaneläkelaitoksen ja Digi- ja väestötietoviraston tulee toimittaa vuosittain sosiaali- ja terveysministeriölle selvitys edellisen vuoden kustannuksista ja kustannuksiin vaikuttaneista tekijöistä sekä arvio seuraavan neljän vuoden maksujen perustana olevista kokonaiskustannuksista ja seuraavan neljän vuoden investointitarpeista ja niiden kustannuksista.

Tietojärjestelmäpalvelun tuottaja vastaa sertifioinnin aiheuttamista kustannuksista. Kansaneläkelaitoksen 86 §:n tarkoitettuun yhteentoimivuuden testaukseen ilmoittautuminen on tietojärjestelmäpalvelun tuottajille maksullinen. Sosiaali- ja terveysalan lupa- ja valvontavirastolle 80 §:n mukaan tehtävän ilmoituksen rekisteröinti ja merkintä julkiseen rekisteriin on maksullinen. Maksuista säädetään sosiaali- ja terveysministeriön asetuksella ottaen huomioon, mitä valtion maksuperustelaissa ja sen nojalla maksuista säädetään. Tietoturvallisuuden arviointilaitoksen hyväksymisestä perittävistä maksuista säädetään tietoturvallisuuden arviointilaitoksista annetun lain 11 §:ssä.

100 § Rangaistussäännökset

Joka tahallaan tai törkeästä huolimattomuudesta

1) rikkoo 8 §:n 1 momentissa säädettyä tunnistamisvelvollisuutta,

2) luovuttaa asiakastietoja 8 luvussa säädetyn vastaisesti ilman asiakkaan luovutuslupaa, suostumusta tai laissa säädettyä oikeutta taikka

3) laiminlyö 68 §:n 1 momentissa säädetyn informointivelvollisuuden ja siten vaarantaa asiakkaan yksityisyyden suojaa,

on tuomittava, jollei teosta muualla laissa säädetä ankarampaa rangaistusta, sosiaali- ja terveydenhuollon asiakastietojen käsittelyrikkomuksesta sakkoon.

Rangaistus tietomurrosta säädetään rikoslain 38 luvun 8 §:ssä ja rangaistus tietosuojarikoksesta mainitun luvun 9 §:ssä. Salassapitovelvollisuuden rikkomisesta säädetään mainitun luvun 1 ja 2 §:ssä sekä mainitun lain 40 luvun 5 §:ssä.

15 luku. Voimaantulo- ja siirtymäsäännökset

101 § Voimaantulo

Tämä laki tulee voimaan 1 päivänä tammikuuta 2024.

Tällä lailla kumotaan sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annettu laki (784/2021) sekä sosiaalihuollon asiakasasiakirjoista annettu laki (254/2015).

Tämän lain liitteessä tarkoitettuja säilytysaikoja sovelletaan myös ennen lain voimaantuloa laadittuihin asiakirjoihin. Lisäksi sovelletaan, mitä valtionarkisto, arkistolaitos ja Kansallisarkisto ovat erikseen määränneet asiakirjojen arkistoinnista.

Lain 16 §:ää sovelletaan myös ennen lain voimaantuloa toimintansa päättäneiden palvelunantajien asiakirjoihin, kuitenkin niin, ettei hyvinvointialueille aiemmin toimitettuja toiminnan päättäneiden palvelunantajien asiakirjoja siirretä Kansaneläkelaitoksen säilytettäviksi.

Lain 18 §:n 1 momenttia potilasasiakirjojen tallentamisesta potilasrekisteriin sovelletaan myös ennen lain voimaantuloa sosiaalihuollossa laadittuihin potilasasiakirjoihin.

102 § Siirtymäsäännökset

Lain 53 §:ssä tarkoitettu tiedonsaantioikeus sosiaali- ja terveydenhuollon välillä tulee toteuttaa valtakunnallisiin tietojärjestelmäpalveluihin viimeistään 1 päivänä maaliskuuta 2027, sosiaalihuollon palvelunantajan tiedonsaantioikeus reseptikeskukseen tallennettuihin lääkemääräystietoihin kuitenkin vasta viimeistään 1 päivänä marraskuuta 2027.

Lain 59 §:n 2 momentissa tarkoitettu kaikkiin potilastietoihin ja työterveyshuoltoon kohdistuva kielto on otettava käyttöön viimeistään 1 päivänä tammikuuta 2024.

Sosiaalihuollon palveluiden järjestämisen ja toteuttamisen yhteydessä kirjattavat potilastiedot tulee tallentaa potilasrekisteriin viimeistään 1 päivänä maaliskuuta 2027.

Lain 60 §:ssä tarkoitettu potilastietojen luovuttaminen ulkomaille on toteutettava viimeistään 1 päivästä tammikuuta 2025.

Sosiaalihuollon palvelunantajan on liityttävä 65 §:n 1 momentin 1 kohdassa mainittuun valtakunnalliseen asiakastietovarantoon viimeistään 1 päivänä syyskuuta 2026. Jos palvelunantajien tallentamien asiakirjojen 7 momentin mukainen tallentamisvelvoitteen määräaika on näiden ajankohtien jälkeen, on sen liityttävä valtakunnalliseen asiakastietovarantoon viimeistään silloin, kun tallentamisvelvoite alkaa. Lain 55 §:n mukainen luovutuslupa on otettava käyttöön silloin, kun sosiaalihuollon palvelunantaja alkaa toteuttaa 55 §:ssä tarkoitettua tiedonsaantioikeutta valtakunnallisten tietojärjestelmäpalvelujen välityksellä, kuitenkin viimeistään silloin, kun palvelunantajan on tämän lain mukaan liityttävä valtakunnalliseen asiakastietovarantoon. Sosiaalihuollon palvelunantajan on tallennettava 70 §:n mukaisesti luovutusta koskevat tiedot lokirekisterien säilytyspalveluun viimeistään silloin, kun palvelunantajan on tämän lain mukaan liityttävä valtakunnalliseen asiakastietovarantoon.

Lain 69 §:n 1 momentissa säädetystä velvoitteesta tallentaa liittymisen jälkeen asiakas-asiakirjojen alkuperäiset kappaleet valtakunnalliseen asiakastietovarantoon poiketen terveydenhuollon palvelunantajan tulee aloittaa asiakirjojen tallentaminen seuraavasti:

1) viimeistään 1 päivänä maaliskuuta 2025 koulupsykologien laatimat asiakirjat;

2) viimeistään 1 päivänä lokakuuta 2026:

3) viimeistään 1 päivänä lokakuuta 2029:

Lain 69 §:n 1 momentissa säädetystä velvoitteesta tallentaa liittymisen jälkeen asiakas-asiakirjojen alkuperäiset kappaleet valtakunnalliseen asiakastietovarantoon poiketen sosiaalihuollon palvelunantajan tulee aloittaa sosiaalihuollon asiakasasiakirjojen tallentaminen valtakunnalliseen asiakastietovarantoon seuraavasti:

1) perheoikeudellisten palvelujen palvelutehtävässä syntyvät asiakasasiakirjat viimeistään 1 päivänä syyskuuta 2026; sekä

2) kaikissa palvelutehtävissä syntyvät video- ja äänitallenteet viimeistään 1 päivänä lokakuuta 2029.

Lain 73 §:n mukaiseen omatietovarantoon tulee toteuttaa 50 §:n mukainen tietojen käsittely toisen puolesta viimeistään 1 päivänä syyskuuta 2025 ja mahdollisuus luovuttaa hyvinvointitietoja palvelunantajalle on toteutettava valtakunnallisiin tietojärjestelmäpalveluihin viimeistään 1 päivänä tammikuuta 2026.

Potilastietojen luovuttaminen hyvinvointisovelluksille 74 §:n 2 momentin mukaisesti tulee toteuttaa valtakunnallisiin tietojärjestelmäpalveluihin viimeistään 1 päivänä joulukuuta 2024, 50 §:n mukainen puolesta asiointi kuitenkin viimeistään 1 päivänä syyskuuta 2025 ja reseptikeskukseen tallennettavien lääkemääräysten osalta kuitenkin viimeistään 1 päivänä lokakuuta 2027.

Liite

Asiakasasiakirjojen säilytysajat

Potilasasiakirjat	Säilytysaika
Perinnöllisyyslääketieteen ja harvinaissairauksien kannalta merkittävät asiakirjat	Säilytetään pysyvästi, säilytystarve arvioitava viiden vuoden välein
Palvelutapahtumista kirjattavat diagnostiikkaan, hoidon suunnitteluun, toteutukseen, seurantaan ja arviointiin liittyvät merkinnät ja yhteenvedot, väli- ja loppuarviot, hoitosuunnitelmat, lähetteet ja lausunnot, konsultaatiopyynnöt, tahdosta riippumattomaan hoitoon liittyvät päätökset, tuloskäyrät (EEG, EKG, ENMG, KTG, kuulokäyrät ja muut vastaavat), sädehoidon kuvat ja kortistot, solusalpaajahoitokortit sekä lääkemääräykset	12 vuotta kuolemasta tai 120 vuotta syntymästä, jos kuolinaika ei ole tiedossa tai kyse on alle 18-vuotiaana kuolleesta lapsesta
Hammaslääketieteelliset röntgenkuvat	12 vuotta kuolemasta tai 120 vuotta syntymästä
Muut kuin tunnistamisessa käytettävät hammaslääketieteelliset röntgenkuvat, magneetti-, isotooppi- ja ultraäänikuvat sekä vastaavat kuvantamistutkimusten tallenteet	20 vuotta kuvauksesta, kuitenkin enintään 12 vuotta kuolemasta
Näkyvän valon kuvat, diakuvat ja muut kuva-, video- ja äänitallenteet	Hoidon kannalta tarpeelliseksi arvioidut 12 vuotta aineiston tuottamisesta
Lääkemääräysten toimitusmerkinnät, lääkehoidon toteutusta koskevat merkinnät ja muut lääkemääräyksiin liittyvät merkinnät	12 vuotta lääkemääräyksen voimassaolon tai hoitojakson päättymisestä
Tutkimus- ja laskenta-aineistot, tiedonkeruulomakkeet	12 vuotta tiedonkeruun tms. toteuttamisesta
Potilaan laatimat seurantatiedot ja muut hoitoon liittyvät asiakirjat	12 vuotta asiakirjan saapumisesta
Ajanvarausasiakirjat	12 vuotta asiakirjan laatimisesta
Saapumatta jääneiden potilaiden erilliset läheteasiakirjat (joista ei ole syntynyt hoitovastuuta)	1 vuosi asiakirjan laatimisesta
Jäljennökset muiden terveydenhuollon palvelunantajien potilasasiakirjoista	Voi hävittää heti, kun tarvittavat merkinnät on tallennettu potilastietojärjestelmään
Ajan- ja hoidonvarauspäiväkirjat, uloskirjaus, poliklinikka-, osastohoito-, toimenpidepäiväkirjat ja vastaavat	1 vuosi viimeisen käynnin toteutumisesta
Elinluovutustahto, hoitotahto, ruumiinluovutustestamentti ja muut potilaan tahdonilmaukset	Uusimpia versioita 12 vuotta kuolemasta tai 120 vuotta syntymästä, edeltävät versiot 12 vuotta
Potilaskohtainen hoitoon liittyvä kirjeenvaihto/ yhteydenpito	3 vuotta viestin tai vastaavan päiväyksestä
Leikkauksista kuvattavat videot	Saa hävittää heti kun käyttötarve on päättynyt
Kopiot muita tahoja varten laadituista lääkärinlausunnoista ja -todistuksista (myös työterveyshuoltolainsäädännössä edellytetyt todistukset)	5 vuotta todistuksen tai lausunnon laatimisesta
Potilasasiakirjoihin liitettävä jäljennös kuolintodistuksesta sekä lääketieteellisen kuolemansyyn selvittämiseen liittyvät ruumiinavauspöytäkirjat ja âlausunnot	12 vuotta asiakirjan tuottamisesta
Näytteet ja elinmallit	Säilytysaika
---	---
Perinnöllisyyslääketieteen ja harvinaissairauksien kannalta merkittävät kudosblokit ja näytelasit	Saa säilyttää pysyvästi
Kudosblokit	Enintään 12 vuotta kuolemasta tai 120 vuotta syntymästä, jos kuolinaika ei tiedossa tai kyse alle 18-vuotiaan lapsen kuolemasta
Histologiset, patologian, hematologian ja sytologian näytelasit	12 vuotta
Kliinisen kemian näytteet	Voidaan hävittää heti, kun analyysi on tehty
Hampaiden kipsimallit	Voidaan antaa potilaalle tai hävittää hoidon päätyttyä
Sosiaalihuollon asiakasasiakirjat tai palvelutehtävä, jossa asiakasasiakirjat laaditaan	Säilytysaika
---	---
Asiakkuusasiakirja ja asiakkaan perustiedot	2 vuotta asiakkaan kuolemasta
Lapsiperheiden palvelutehtävä	30 vuotta asian sulkemisesta
Työikäisten palvelutehtävä	10 vuotta asian sulkemisesta
Iäkkäiden palvelutehtävä	10 vuotta asian sulkemisesta
Päihdehuollon palvelutehtävä	10 vuotta asian sulkemisesta
Vammaispalvelujen palvelutehtävä	10 vuotta viimeisen asian sulkemisesta, kun vammaispalvelujen tarve on päättynyt
Lastensuojelun palvelutehtävä	2 vuotta asiakkaan kuolemasta
Perheoikeudellisten palvelujen palvelutehtävä	Lasta koskevissa asioissa 120 vuotta lapsen syntymästä, muissa asioissa 10 vuotta asian sulkemisesta
Tositteet	3 vuotta
Asiakasmaksupäätökset ja tuloselvitysasiakirjat	12 vuotta päätöksen voimassaolon päättymisestä
Asiakaskohtainen palveluun liittyvä yhteydenpito tai kirjeenvaihto	3 vuotta viestin tai vastaavan päiväyksestä
Kopiot muita tahoja varten laadituista lausunnoista ja -todistuksista	5 vuotta todistuksen tai lausunnon laatimisesta
Sosiaalipalveluissa kuvattavat video- ja äänitallenteet	Saa hävittää, kun käyttötarve on päättynyt ja tarvittavat kirjaukset on tehty asiakasasiakirjoihin
Luovutustenhallinnan asiakirjat	Säilytysaika
---	---
Luovutus- ja käyttölokitiedot sekä luovutusilmoitukset	12 vuotta lokitapahtumasta
Luovutusluvat, suostumukset, kielto-asiakirjat	Uusin versio 12 vuotta kuolemasta, edeltävät 12 vuotta uuden version laatimisen jälkeen